我喜欢ProtonMail的外观。但是，阻止我注册的是 JavaScript 似乎在网站的各个点都使用，并且有人要阅读您的电子邮件，他们必须单击指向我认为是 JavaScript 页面的链接？
对于像我这样使用带有 NoScript 的 Tor Browser Bundle 的人：即使该网站可用，想要在 Tor 上查看您的消息内容的最终用户怎么办？
我很担心Freedon Hosting 发生的事情。但是，即使没有利用，我也看到过使用 JavaScript 来揭露某人的相当简单的攻击。
这似乎是一件非常愚蠢的事情，但我远非专家。我在这里错了吗，反应过度，或者这是一个实际的巨大漏洞，例如 FBI（或任何瑞士拥有的）可以用来获取 IP 地址？
编辑：我发现这篇文章是我的担心。
注意：这个问题在Tor 社区可能会更好，尽管这里是主题。
Thomas Roth 证明Protonmail容易受到跨站点脚本 (XSS) 攻击。
他制作的视频 (Vimeo)表明，至少邮件正文容易受到 Javascript 注入。收件人一读到邮件，代码就会被执行。不幸的是，此代码可能是恶意的，并且除其他外，还可能使用户去匿名化。FBI 表明，当他们夺取 Freedom Hosting 时，这是有可能的。（尽管他们在 Firefox 中利用了0-day。）
使用启用了 Javascript的Tor 浏览器是有风险的。禁用它会减少攻击面。Tor 开发人员意识到了这个问题，并在他们的常见问题解答中解决了这个问题：
为什么 NoScript 在 Tor 浏览器中默认配置为允许使用 JavaScript？那不是不安全吗？
我们将 NoScript 配置为在 Tor 浏览器中默认允许 JavaScript，因为许多网站在禁用 JavaScript 的情况下将无法运行。如果他们想要使用的网站需要 JavaScript，大多数用户会完全放弃 Tor，因为他们不知道如何允许网站使用 JavaScript（或者启用 JavaScript 可能会使网站正常工作）。
Tor 浏览器让您有机会禁用 JavaScript（使用 NoScript 插件）。但是，您可能已经注意到，Protonmail 非常依赖 JavaScript，禁用它会阻止您使用他们的服务：
为什么需要 JavaScript、会话存储和 Cookie？
ProtonMail 在您的网络浏览器中对消息进行加密和解密。
这确保了我们无法独立解密您的消息，从而确保您数据的安全性和隐私性。为了在您的网络浏览器中进行加密和解密，我们需要使用 JavaScript 进行加密/解密，并使用 SessionStorage 将您的私钥保存在本地。ProtonMail 还需要启用 cookie，以便我们可以存储您当前的会话信息并将您登录到您的帐户。
（最后强调的是我的。）
因此，您必须做出选择。要么您决定相信 Protonmail 是安全的（即使已发现漏洞）；或者你走开并找到另一个解决方案。